The parhaat salasanojen ylläpitäjät on tarkoitettu pitämään kaikki kirjautumisesi ja luottokorttitietosi turvassa, mutta suuri uusi haavoittuvuus on juuri asettanut KeePass-salasanojen hallinnan käyttäjät vakavaan murtumisriskiin.
Itse asiassa hyväksikäytön avulla hyökkääjä voi varastaa KeePass-käyttäjän pääsalasanan pelkkänä tekstinä – toisin sanoen salaamattomassa muodossa – yksinkertaisesti purkamalla sen kohdetietokoneen muistista. Se on huomattavan yksinkertainen hakkerointi, mutta jolla voi olla huolestuttavia seurauksia.
Salasanojen hallintaohjelmat, kuten KeePass, lukitsevat kaikki kirjautumistietosi pitääkseen ne turvassa, ja kaikki tiedot on sinetöity pääsalasanan taakse. Syötät pääsalasanasi päästäksesi käsiksi kaikkeen varastoosi, mikä tekee siitä arvokkaan kohteen hakkereille.
Liittyvät
- Tämä kriittinen hyväksikäyttö voi antaa hakkereille mahdollisuuden ohittaa Macisi puolustukset
- Nämä kiusalliset salasanat saivat julkkikset hakkeroitumaan
- Google teki juuri tästä tärkeästä Gmail-suojaustyökalusta täysin ilmaisen
Kuten raportoi Piikuva tietokone, KeePass-haavoittuvuuden löysi tietoturvatutkija "vdohney", joka julkaisi proof-of-concept (PoC) -työkalun GitHubissa. Tämä työkalu pystyy purkamaan lähes koko pääsalasanan (lukuun ottamatta ensimmäistä tai kahta merkkiä) luettavassa, salaamattomassa muodossa. Se voi jopa tehdä tämän, jos KeePass on lukittu ja mahdollisesti, jos sovellus suljetaan kokonaan.
Suositellut videot
Tämä johtuu siitä, että se poimii pääsalasanan KeePassin muistista. Kuten tutkija selittää, tämä voidaan saada monin eri tavoin: "Ei sillä ole väliä missä muisti tulee - voi olla prosessivedos, sivutustiedosto (pagefile.sys), lepotilatiedosto (hiberfil.sys) tai RAM koko järjestelmän kaatopaikka."
Hyödyntäminen on olemassa joidenkin KeePassin mukautetun koodin ansiosta. Kun kirjoitat pääsalasanan, teet sen mukautetussa laatikossa nimeltä SecureTextBoxEx. Nimestä huolimatta käy ilmi, että tämä laatikko on ei kuitenkaan niin turvallinen, koska jokainen ruutuun kirjoitettu merkki jättää käytännössä jäljelle jääneen kopion itsestään järjestelmään muisti. PoC-työkalu löytää ja poimii nämä jäännösmerkit.
Korjaus on tulossa
Yksi varoitus tälle tietoturvaloukkaukselle on se, että se vaatii fyysistä pääsyä koneeseen, josta pääsalasana on tarkoitus purkaa. Mutta se ei välttämättä aina ole ongelma - kuten olemme nähneet LastPass hyödyntää saaga, hakkerit voivat päästä kohteen tietokoneeseen käyttämällä tietokoneeseen asennettuja haavoittuvia etäkäyttösovelluksia.
Jos kohdetietokone oli saastunut haittaohjelmalla, se voidaan määrittää tyhjentämään KeePassin muisti ja lähettämään sekä sen että sovelluksen tietokanta takaisin hakkerin omalle palvelimelle, jolloin uhkatekijä voi purkaa pääsalasanan omassa aika.
Onneksi KeePassin kehittäjä sanoo, että korjaus on tulossa, ja yksi mahdollisista korjauskeinoista on lisätä sovelluksen muistiin satunnaista valetekstiä, joka hämärtäisi salasanan. Korjauksen odotetaan julkaistavan vasta kesä- tai heinäkuussa 2023, mikä voi olla tuskallista odottelua kenellekään, joka on hermostunut pääsalasanansa vuotamisesta. Kehittäjä on kuitenkin julkaissut korjauksesta myös beta-version, jonka voi ladata KeePass-verkkosivustolta.
Haavoittuvuus osoittaa vain, että jopa näennäisesti turvallisia sovelluksia, kuten salasanojen hallintaa, voidaan murtaa, eikä tämä ole ensimmäinen kerta, kun vakava heikkous on löytynyt KeePassista. Vältä lataamista, jos haluat suojata itsesi verkkouhkilta, kuten tämän uusimman hyväksikäytön kaltaisilta sovelluksia tai avaa tiedostoja tuntemattomilta lähettäjiltä, vältä kyseenalaisia verkkosivustoja ja käytä virustorjuntaa sovellus. Ja tietenkään älä koskaan jaa salasanahallinnan pääsalasanaa kenenkään kanssa.
Toimittajien suositukset
- Ransomware-hyökkäykset ovat lisääntyneet valtavasti. Näin pysyt turvassa
- Onko ChatGPT luomassa kyberturvallisuuden painajaista? Kysyimme asiantuntijoilta
- Hakkerit käyttävät kieroa uutta temppua tartuttaakseen laitteesi
- Ei, 1Passwordia ei hakkeroitu – tässä on mitä todella tapahtui
- Tämä Bing-virhe antaa hakkereille mahdollisuuden muuttaa hakutuloksia ja varastaa tiedostojasi
Päivitä elämäntapasiDigital Trends auttaa lukijoita pysymään tekniikan nopeatempoisessa maailmassa uusimpien uutisten, hauskojen tuotearvostelujen, oivaltavien toimitusten ja ainutlaatuisten kurkistusten avulla.
